Latest / M365.FM – Microsoft 365, Copilot & KI Podcast auf Deutsch / EU AI Act für Anwender: Copilot vs. ChatGPT – Risikostufen, Pflichten und Ihre Compliance-Checkliste (KI-Synchronfassung)

Transcript

EU AI Act für Anwender: Copilot vs. ChatGPT – Risikostufen, Pflichten und Ihre Compliance-Checkliste (KI-Synchronfassung) · M365.FM – Microsoft 365, Copilot & KI Podcast auf Deutsch

0:00
Jeder glaubt, KI-Compliance sei ein Problem von Microsoft.
0:02
Falsch.
0:03
Der EU-EI-Act macht nicht bei Entwicklern von Tools wie Copilot oder ChatGPT Halt.
0:08
Das Gesetz verteilt die Pflichten über die gesamte KI-Lieferkette.
0:11
Das bedeutet, Anwender, wie sie tragen, mit Verantwortung, ob sie wollen oder nicht.
0:14
Denken Sie sich das.
0:15
Führen Sie ChatGPT in der Personalabteilung ein und plötzlich haften Sie für Bias-Monitoring, Erklärbarkeit und Dokumentation.
0:21
Das Kleingedruckte.
0:22
Die Pflichten greifen nach und nach, aber die Durchsetzung beginnt sofort.
0:25
Bis zu 7% des Umsatzes stehen auf dem Spiel.
0:27
Updates über das Microsoft Trust Center zu verfolgen, ist keine Option.
0:30
Es ist überlebenswichtig.
0:31
Überlassen Sie das Erinnern den Schaltflächen.
0:33
Abonnieren Sie, aktivieren Sie Alarm und erhalten Sie diese Compliance Briefings so regelmäßig wie Audit Logs.
0:37
Keine verpassten Updates, keine Ausreden.
0:39
Und da Sie nun wissen, dass dies keine bloße Theorie ist, lassen Sie uns darüber sprechen, wie die EU jedes KI-System in eine vierstufige Risikoleiter eingeteilt hat.
0:46
Die Risikoleiter des AI-Acts ist kein Schmuckwerk.
0:49
Die Risikoleiter ist keine Grafik am Rande, die man überfliegt.
0:52
Sie ist das grundlegende Funktionsprinzip des EU-AI-Acts.
0:55
Jedes KI-System wird in eine von vier Kategorien eingestuft.
0:58
Unannehmbar, hoch, begrenzt oder minimal.
1:00
Diese Einteilung ist nicht kosmisch.
1:02
Sie bestimmt genau die Compliance-Last, die Sie tragen müssen.
1:04
Den Umfang der Dokumentation, die menschliche Aufsicht, Meldepflichten und Transparenz.
1:08
Das ist die erste Überraschung.
1:10
Die meisten betrachten Ihr neues Produktivitätstool und gehen davon aus, dass es sicher ein Minimal fällt.
1:14
Doch die Einstufung hängt nicht davon ab, wie das System aussieht.
1:17
Es geht darum, was es tut und in welchem Kontext Sie es einsetzen.
1:20
Minimal bedeutet kein dauerhaftes Freitekel.
1:21
Ein Chatbot für Social-Media-Beiträge mag risikoarm sein.
1:25
Aber sobald Sie dieselbe Engine für Personalbeschaffung, Compliance-Berichte oder Kredit-Scoring nutzen, stufen die Regulierungsbehörden es als Hochrisiko ein.
1:31
Kein schrittweiser Aufstieg, sofortige Eskalation.
1:33
Und die EU hat dies nicht völlig in ihr Ermessen gestellt.
1:36
Bestimmte Anwendungen gelten bereits als Hochrisiko, bevor Sie sie überhaupt rechtfertigen können.
1:39
Automatisierte Lebenslaufprüfung, Rekrutierungsscoring, biometrische Identifizierung sowie KI in der Strafverfolgung oder Grenzkontrolle – diese sind von Natur aus Hochrisiko.
1:48
Die diskutieren die Vorgaben.
1:49
Unterdessen unterliegen allgemeine oder generative Modelle wie Chat-GPT und Coopilot eigenen speziellen Transparenzanforderungen.
1:55
Diese sind nicht automatisch Hochrisiko, aber Anwender müssen ihren KI-Charakter klar offenlegen und teils zusätzliche Pflichten erfüllen, wenn das Modell sensible Entscheidungen beeinflusst.
2:04
Diese Stufenmeisterstruktur ist wichtig.
2:06
Das Gesetz legt nicht über Nacht jeden Schalter auf.
2:08
Verbotene Praktiken wie manipulative Verhaltens-KI oder Social Scoring werden schnell untersagt.
2:13
Transparenzpflichten und Kennzeichnungsvorgaben folgen kurz darauf.
2:17
Die schwerwiegenden Verpflichtungen für Hochrisikosysteme greifen erst in einigen Jahren.
2:21
Doch halten Sie diesen Zeitrahmen nicht für Nachsicht?
2:24
Anwender müssen ihre Anwendungsfälle jetzt planen, denn diese Fristen rücken schnell näher.
2:28
Und Unwissenheit schützt nicht vor den Prüfern.
2:31
Einfach ausgedrückt, je höher Ihr Projekt auf dieser Skala angesiedelt ist, desto umfangreicher wird die Checkliste.
2:36
Am unteren Ende reicht vielleicht eine einfache Transparenznotiz.
2:39
Am oberen Ende erstellen Sie Risikomanagement-Dokumente, prüfbare Protokolle, Überwachungsmechanismen und dokumentierte Mitarbeiterschulungen.
2:45
Und ja, die Strafen bei Nichterfüllung dieser Auflagen sind keine bloßen sanften Erinnerungen.
2:49
Äh, es sind Bußgelder, die das Management nervös machen sollen.
2:52
Das ist keine bloße Theorie.
2:53
Co-Pilot für die Zusammenfassung von Besprechungsnotizen zu nutzen, ist eine begrenzte oder minimale Einstufe.
2:58
Setzen Sie Co-Pilot direkt für Governance-Einreichungen und Compliance-Berichte ein, befinden Sie sich auf den oberen Stufen mit vollen Verpflichtungen.
3:04
Generative KI-Tools verschärfen dies, da dasselbe System je nach Einsatzkontext mehrere Klassifizierungen umfassen kann.
3:11
Regulierungsbehörden interessiert es nicht, ob sie es für harmlos haben.
3:13
Sie interessieren sich für nachweisbare Risiken für Sicherheit und Grundrechte.
3:16
Das führt zu unbequemen Erkenntnis, dass die Risikoskala nicht nach ihrer Meinung fragt.
3:21
Sie erzwingt eine Struktur und sie bereiten sich entweder auf deren Last vor oder riskieren darunter zu zerbrechen.
3:26
So zu tun, als sei ihr Tool nur zum Spaß, da endet nichts an der Klassifizierung.
3:30
Das System wird nach Nutzen und Wirkung bewertet, nicht nach ihrer Marketingsprache oder internen Präsentationen.
3:34
Das heißt, der kluge Schachzug ist nicht das Warten auf Anweisungen, sondern die Wahl von Tools, die sich in die Skala integrieren, statt sie zu bekämpfen.
3:40
Manche KI kommt bereits mit Sicherheitsvorkehrungen in ihr Unternehmen, die den Kategorien des Gesetzes entsprechen.
3:45
Andere landen wie rohe, unüberwachte Engines bei ihnen und verlangen, dass sie das Compliance-Gerüst von Grund auf selbst aufbauen.
3:52
Genau dieser Unterschied macht die Geschichte so praxisrelevant.
3:55
Denn jedes Tool steht vor der gleichen Skala, aber nicht jedes ist für den Aufstieg bereit.
4:00
Ah, Compliance ist bei Co-Pilot von Anfang an fest integriert.
4:03
Was, wenn ihr KI-Tool bereits bereit für eine Inspektion wäre?
4:06
Keine hektische Flickschusterei, bevor die Regulierungsbehörden vor der Tür stehen.
4:09
Das ist das Bild, das Microsoft in ihrem Kopf ankern möchte, wenn sie am Co-Pilot denken.
4:12
Es wird nicht als neuartiger Chatbot vermarktet.
4:15
Das Versprechen ist, unternehmstauglich für Governance entwickelt und darauf ausgelegt,
4:18
in regulierten Bereichen zu bestehen, ohne sofort Strafen zu riskieren.
4:22
Im Zeitalter des EU-AI-Act ist das keine bloße Dekoration.
4:26
Es ist eine kalkulierte Compliance-Strategie.
4:28
Normalerweise klingt unternehmstauglich wie Werbung für ein Shampoo.
4:31
Ein bedeutungsloser Etikett erfunden, um mittleres Management davon zu überzeugen, dass sie etwas seriöses kommt.
4:35
Aber hier spielt es eine echte Rolle.
4:36
Wenn Sie Co-Pilot einsetzen, nutzen Sie eine Infrastruktur, die bereits fest in Microsoft 365,
4:41
einen regulierten Arbeitsbereich, Compliance-Zertifizierungen und jahrzehntelanges Sicherheitsstandards integriert ist.
4:46
Vergleichen Sie das damit, ein generisches Modell in Ihre Arbeitsabläufe zu zwängen.
4:49
Ein technisches Wagnis, das in hektischer Schreibarbeit und bei sehr nervösen Anwälten hält.
4:53
Stellen Sie sich vor, Sie kaufen bürotische.
4:55
Die können Sie aus Schrott zusammenschweißen und darauf hoffen, dass der Brandschutzprüfer nicht so genau hinsieht.
4:58
Oder Sie kaufen die zertifizierte Version, die bereits nach Brandschutzvorschriften geprüft wurde.
5:02
Microsoft möchte, dass Sie wissen, dass Co-Pilot diese zweite Option ist.
5:05
Die Governance-Schutzmaßnahmen sind bereits in das Grundgerüst eingebettet.
5:08
Sie müssen die Compliance nicht in letzter Minute mühsam nachrüsten.
5:10
Die Leitplanken greifen noch, bevor die Rechnung überhaupt beglichen ist.
5:13
Die Details sind der Punkt, an dem es interessant wird.
5:15
Microsoft stellt ausdrücklich klar, dass Co-Pilot-Prompts, Minus-Antworten und über Microsoft Graph abgerufene Daten
5:20
nicht zum Training der grundlegenden LLMs verwendet werden.
5:23
Zudem läuft Co-Pilot auf Azure OpenAI, das innerhalb der Microsoft 365 Service-Grenze gehostet wird.
5:27
Das bedeutet, was Sie eingeben, bleibt in Ihrem Tenant unter den Berechtigungen Ihrer Organisation
5:32
und wird nicht in irgendeine Trainingsschleife abgezweigt.
5:35
Diese Trennung ist sowohl für die DSGVO als auch für das Gesetz von Bedeutung.
5:38
Natürlich ist dies nicht absolut.
5:39
Microsoft setzt eine EU-Datengrenze durch, um Daten in der Region zu halten,
5:43
aber Dokumente im Trust Center weisen darauf hin, dass Anfragen bei hoher Auslastung
5:46
zur Kapazitätssicherung in andere Regionen ausweichen können.
5:48
Diese Nuance ist wichtig.
5:50
Regulierungsbehörden erkennen den Unterschied zwischen immer nur EU und zuerst EU mit Überlauf.
5:54
Dann gibt es noch die Sicherheitssysteme, die im Hintergrund laufen.
5:56
Klassifikatoren filtern schädliche oder voreingenommene Ausgaben, bevor sie in Ihrem Entwurf landen.
6:01
Einige gehen sogar so weit, Rückschlüsse auf sensible persönliche Attribute komplett zu blockieren.
6:05
Sie sehen den Prozess beim Tippen nicht, aber diese unsichtbaren Bremsen verhindern,
6:08
dass eine fehlerhafte Ausgabe zu einem Compliance-Verstoß oder einem Rechtsstreit führt.
6:13
Dieser Ansatz ist nicht nur hypothetisch.
6:14
Die Rechtsabteilung von Microsoft hat dies öffentlich hervorgehoben und gezeigt,
6:18
wie sie einen Co-Pilot-Agenten entwickelten, um Teams bei der Interpretation des KI-Gesetzes zu unterstützen.
6:22
Diese Demonstration war keine Marketingfloskel.
6:24
Sie zeigte Co-Pilot als gesteuerten Unternehmensassistenten, der innerhalb des Compliance-Rahmens arbeitet, den er selbst stärken soll.
6:30
Und wenn sie die Einführung planen, stehen sie nicht ohne Anleitung da.
6:33
Microsoft Purview erzwingt die Kontrolle über Datenerkennung, Klassifizierung und Aufbewahrung direkt in ihrer Co-Pilot-Umgebung
6:39
und stellt sicher, dass personenbezogene Daten durch Richtlinien und nicht durch Wunschdenken geschützt sind.
6:43
Das Microsoft Trust Center bietet die Dokumentation, Folgenabschätzungen und Vorlagen, die sie benötigen, falls ein Prüfer vorbeischaut.
6:57
Dies sind keine optionalen Extras, sondern das grundlegende Toolkit, das sie tatsächlich nutzen sollten.
7:00
Doch hier ist Präzision gefragt. Co-Pilot entbindet sie nicht von ihren Pflichten.
7:05
Das Gesetz schreibt ein Modell der geteilten Verantwortung vor.
7:07
Microsoft liefert das Grundgerüst, aber konfigurieren, protokollieren und arbeiten müssen sie selbst.
7:12
Auditoren werden nach ihren Aufzeichnungen befragen, nicht nur nach denen von Microsoft.
7:14
Der Kauf von Co-Pilot bringt sie zwar auf halbem Weg den Berg hinauf, den Aufstieg aber müssen sie selbst bewerten.
7:18
Der Wert liegt in der Effizienz. Mit Co-Pilot ist das Fundament bereits gegossen.
7:22
Man muss nicht über Nacht Sicherheitskontrollen entwerfen und Compliance-Beauftragten müssen nicht in letzter Minute Richtlinien zusammenstellen, da sie starten von einem höheren Niveau aus und vermeiden es, das Rad neu zu finden.
7:34
Dieser Unterschied, vom ersten Tag an Leitplanken zu haben, entscheidet, ob ihr Audit wie eine Treppe oder eine Stallwand wirkt.
7:40
Natürlich ist Co-Pilot nicht die einzige generative KI auf dem Markt.
7:42
Der Kontrast verschärft sich, wenn man es mit einem Tool vergleicht, das ohne Governance, ohne Datenspeicherungsgarantien und ohne Unternehmenskontrollrahmen daherkommt.
7:52
Dieses Tool wirkt in einer privaten App blendend und im HR-Workflow chaotisch.
7:56
Und genau hier beginnen die Kopfschmerzen.
7:58
ChatGPT. Flexibilität trifft auf bürokratischen Ärger.
8:01
Hier ist ChatGPT. Das Modell, das jeder für seine Kreativität bewundert, bis der Papierkram auftaucht.
8:06
Seine Stärke ist die Flexibilität. Sie können es auf fast alles ansetzen und es produziert auf Befehl flüssige Texte.
8:12
Aber unter dem EUAI-Act verwandelt sich diese Flexibilität schnell in ihr Compliance-Problem.
8:17
In der Standard-Consumer-Version wird ChatGPT als begrenztes Risiko eingestuft.
8:21
Das deckt gelegentliche Anwendungsfälle ab, wie Brainstorming für Texte, Zusammenfassungen von Notizen oder harmlose Wochenendrezepte.
8:28
Sobald Sie seine Rolle auf Entscheidungen ausweiten, die Menschen, Einstellungen, Kritikgenehmigungen oder Gesundheitskontexte betreffen,
8:34
steigt es in den Hochrisikobereich mit strengeren Auflagen auf.
8:38
Die Variable ist nicht der Code des Tools, sondern der Nutzungskontext.
8:40
Hier wird der Unterschied zu Co-Pilot schmerzhaft deutlich.
8:44
Co-Pilot erbt den Governance-Stack von Microsoft, da es innerhalb von Microsoft 365 mit Azure OpenAI-Kontrollen läuft.
8:50
Prompts und Antworten werden innerhalb der Microsoft-Service-Grenzen verarbeitet
8:53
und die Dokumentation besagt explizit, dass sie nicht für das Training von Basismodellen verwendet werden.
8:58
ChatGPT als solches, die öffentliche Version, bietet diese Zusicherung nicht standardmäßig.
9:02
Sie als Anwender müssen die Dokumentation, Bedingungen und Verträge von OpenAI prüfen,
9:07
um zu verstehen, welche Daten gespeichert werden, wie sie verwendet werden und ob zusätzliche Leitplanken existieren.
9:12
Das Gesetz wird, wir dachten, es sei sicher nicht als Verteidigung akzeptieren.
9:16
Die Nutzung von ChatGPT in Unternehmensabläufen fühlt sich weniger wie das Einstecken einer Steckdosenleiste an,
9:20
als vielmehr wie der Aufbau des gesamten Stromnetzes von Grund auf.
9:22
Sie müssen Ihr eigenes Gerüst bauen.
9:24
Bei Copilot ist ein Großteil dieser Struktur bereits fest integriert.
9:35
Mit ChatGPT sind Sie Architekt, Bauunternehmer und Compliance-Beauftragter in einer Person.
9:39
Wenn Sie eine Metapher brauchen, denken Sie an ChatGPT wie an einen Hochleistungsmotor ohne Fahrgestell.
9:44
Ist leistungsstark, elegant im Design und zu außergewöhnlichen Ergebnissen fähig.
9:48
Aber für sich genommen bietet er weder Sicherheitsgurte, Airbags noch die behördlichen Plaketten,
9:52
die man von einem straßentauglichen Fahrzeug erwartet.
9:55
Und wenn die EU-Regulierungsbehörde quasi als TÜV fungiert,
9:58
stehen Sie mit diesem rohen Motor vor der Aufgabe, die Karosserie, das Armaturenbrett und die Crash-Tests selbst zu konstruieren.
10:04
Eindruckend Pferdestärken?
10:06
Straßenzulassung aber erst, wenn Sie den Rest der Arbeit erledigt haben.
10:08
Die Compliance-Hürden verschärfen sich durch die Transparenzpflichten des Gesetzes.
10:12
Generative KI-Outputs, einschließlich Text, Bildern und Audio, müssen klar als KI generiert gekennzeichnet werden.
10:18
Auch die Rückverfolgbarkeit von Prompts und die Erklärung des Systemverhaltens sind erfordert.
10:21
Das klingt auf dem Papier einfach, ist es in der Praxis aber weniger.
10:24
Eine Aufsichtsbehörde zu sagen, dass ChatGPT-Tokenwahrscheinlichkeiten vorhersagt,
10:28
ist nicht dasselbe wie eine rechtlich ausreichende Erklärung dafür, warum es eine Einstellungsempfehlung beeinflusst hat.
10:33
Und die Offenlegungspflichten erstrecken sich auch auf synthetische Medien.
10:36
Wenn ChatGPT Sprach- oder Videoinhalte generiert, die einer echten Person ähneln,
10:40
riskiert es die Einstufung als Deepfake, was noch strengere Aufsicht nach sich zieht.
10:44
Personenbezogene Daten machen die Compliance Last noch schwerwiegender.
10:46
Die DSGVO-Ebene ist dabei unvermeidbar.
10:49
Sobald Prompts Identifikatoren enthalten, sind sie dafür verantwortlich,
10:52
eine rechtmäßige, faire und transparente Verarbeitung zu gewährleisten.
10:55
Das bedeutet Einwilligung wo erforderlich, Minimierung gespeicherter Daten und die Wahrung der Betroffenenrechte.
11:00
Der öffentliche Dienst von OpenAI konfiguriert diese Schutzmaßnahmen nicht automatisch für Sie.
11:04
Die Verantwortung für deren Umsetzung liegt allein beim Anwender.
11:07
Mindestens müssen Sie durch Binden der Verträge und dokumentierte Prozesse sicherstellen,
11:11
was mit den Daten passiert, sobald Sie diese übergeben.
11:13
Es gibt jedoch einen Mittelweg.
11:16
Wenn auf die Fähigkeiten von ChatGPT über verwaltete Plattformen wie Azure OpenAI
11:19
oder in Unternehmensumgebungen integrierte Schnittstellen zugegriffen wird,
11:22
verbessert sich die Compliance-Situation.
11:24
Sie erhalten Audit-Logs, Garantien zur Datenresidenz und Überwachung innerhalb Ihrer Tenentgrenzen.
11:29
Das entbindet Sie nicht von Ihrer Verantwortung,
11:31
macht Sie aber mit Werkzeugen statt mit Tabellenkalkulationen handhabbar.
11:34
Es verlagert die Diskussion von
11:35
Wir haben keine Aufsicht hin zu
11:37
Wir müssen validieren, ob die vertraglich zugesicherte Aufsicht wie versprochen funktioniert.
11:41
Die Ironie ist, dass viele Organisationen ChatGPT immer noch als informellen Assistenten behandeln.
11:47
Sie entwerfen Texte ohne Kennzeichnung,
11:49
füttern es mit Lebensläufen ohne Bias-Prüfung
11:50
oder handhabensensibel Notizen ohne Datentrennung.
11:53
All diese beiläufigen Nutzungen können eine Einstufung mit begrenztem Risiko über Nacht
11:56
in einen Hochrisikoeinsatz verwandeln.
11:58
Und das Gesetz misst nach Auswirkungen, nicht nach Absicht.
12:01
Was wie ein harmloser Test aussieht, kann in dem Moment als reguliertes System eingestuft werden,
12:05
indem es die Lebensgrundlage einer Person beeinflusst.
12:07
Also ja, ChatGPT ist vielseitig.
12:09
Es ist anpassungsfähig.
12:10
Es erstellt Inhalte schneller, als die meisten Mitarbeiter E-Mail-Betreffzeilen schreiben.
12:14
Aber ohne eine eigene Compliance-Umgebung
12:16
würdet es Ihnen fast die gesamte Last des EU-AI-Act allein auf
12:19
Dokumentation, Risikobewertungen, Transparenzkontrollen, menschliche Aufsicht.
12:24
Sie mauern jeden Stein selbst, während die Regulierungsbehörden mit einer Checkliste vor der Tür warten.
12:28
Das führt uns zu dem unausweichlichen Schluss, ob Sie Co-Pilot oder ChatGPT wählen.
12:32
Das Gesetz hat Sie in die Pflicht genommen.
12:34
Die Frameworks und Leitplanken unterscheiden sich,
12:36
aber die Aufsichtsbehörde prüft ihren Einsatz, nicht nur die Versprechen des Anbieters.
12:40
Sie mögen die Technologie bewundern, aber rechtlich gesehen sind Sie derjenige, der Sie betreibt.
12:44
Und genau hier beginnt die eigentliche Arbeit.
12:46
Praktischer Überlebensratgeber für Anwender.
12:49
Jetzt kommt der Teil, der entscheidet, ob Sie ein Audit überstehen oder zum abschreckenden Beispiel werden.
12:53
Der Überlebensratgeber für Anwender.
12:55
Vergessen Sie das Drama um Regulierungsbehörden, die Ihnen im Nacken sitzen.
12:59
Hier ist das, was zählt.
13:00
Das Gesetz verlangt operative Checklisten, keine wagen Zusicherungen.
13:04
Und da Sie anscheinend alles genau dargelegt brauchen, machen wir es schmerzhaft deutlich.
13:07
Drei wesentliche Punkte.
13:08
Verpassen Sie diese, riskieren Sie Strafgelder.
13:11
Erstens.
13:12
Führen Sie eine Datenschutzfolgenabschätzung, DSFA, durch und führen Sie ein Verzeichnis von Verarbeitungstätigkeiten, VVT.
13:18
Nein, das ist kein optionaler Papierkram.
13:21
Unter der DSGVO und jetzt verstärkt durch den AI-Act wird von Ihnen bei der Nutzung von KI-Bereichen die Personen betreffen,
13:25
wie Einstellung, Gesundheit, Bonitätsprüfung erwartet, dass Sie Risiken durchdacht und Verarbeitungsflüsse dokumentiert haben.
13:30
Dass Sie Risiken dort haben.
13:31
Die DSFA deckt das Risiko auf, das VVT belegt, dass Sie die Verarbeitung nachverfolgen.
13:35
Sie bilden das Grundgerüst der Governance.
13:36
In Prüferfragen zeigen Sie uns Ihre Risikoanalyse.
13:39
Dann sind dies die Dokumente, die Sie auf Ihrem Tisch erwarten.
13:42
Zweitens. Klassifizieren und kontrollieren Sie die Daten selbst.
13:44
Wir kommen Microsoft Purview ins Spiel.
13:46
Das ist kein glänzendes Dashboard, das Führungskräfte bewundern sollen.
13:49
Es ist das System, mit dem Sie sensible Materialien automatisch kennzeichnen, Aufbewahrungsrichtlinien festlegen und DLP durchsetzen können.
13:57
Purview verknüpft Klassifizierungsregeln direkt mit Ihren Dokumenten, E-Mails und Speichern.
14:01
Kombinieren Sie das mit dem Prinzip der geringsten Berechtigung.
14:03
Beschränken Sie Co-Pilot-Abfragen durch semantische Indizes und Berechtigungsmodelle, damit nur auf Daten zugewirfen wird, für die Benutzer zugelassen sind.
14:09
Betrachten Sie dies als das Anlegen des Burggrabens.
14:12
Ohne Grenzen kann jeder Mitarbeiter versehentlich vertrauliche Daten an ein KI-Modell weitergeben und Sie in einen DSGVO-Verstoßschnelllauf zwingen.
14:21
Drittens. Protokollieren, aufbewahren und verwalten Sie jede Interaktion.
14:24
Co-Pilot verfügt über einen Aktivitätsverlauf. Konfigurieren Sie ihn.
14:27
Azure und Microsoft 365 bieten Audit-Protokolle aktivieren und speichern Sie diese.
14:32
Purview hilft bei der Durchsetzung von Aufbewahrungsrichtlinien, damit keine Datensätze verschwinden, wenn Prüfer anklopfen.
14:36
Rückverfolgbarkeit ist ein obligatorisches Merkmal von Compliance.
14:39
Wenn Sie nicht nachweisen können, wer wann welche KI wofür genutzt hat, bricht Ihre Aufsicht vor Gericht zusammen.
14:44
Und vergessen Sie nicht, die Aufbewahrung wird nicht ewig.
14:47
Konfigurieren Sie Richtlinien so, dass Protokolle lange genug nützlich sind, aber nicht so lange, dass Sie in digitalem Ballast ertrinken.
14:54
Regulierungsbehörden bevorzugen Präzision, kein Hopp.
14:56
Oh, das ist die Checkliste.
14:57
Drei Punkte, aber sehen Sie das nicht als das Ende an?
15:00
Beziehen Sie Personalschulungen mit ein.
15:02
Verpflichtungen nach Art von Artikel 4 existieren, damit Mitarbeiter nicht ahnungslos durch KI-Umgebungen irren, irren.
15:07
Rollenbasierte KI-Kompetenz ist entscheidend.
15:09
Technisches Personal muss Risikomodelle und Protokollierungsmechanismen verstehen.
15:13
Personalabteilungen müssen Voreingenommenheit, Dokumentation und Offenlegung verstehen.
15:16
So zu tun, als wüssten es alle bereits, ist reine Fantasie.
15:19
Schulung ist Compliance-Artefakt Nummer 4.
15:21
Zeigen Sie, dass Sie Ihre Mitarbeiter nicht mit Systemen improvisieren ließen, die direkt mit Beschäftigungs- oder Privatsphärenrechten verknüpfen.
15:26
Lassen Sie uns nun Illusionen beiseite liegen.
15:27
Anbieter liefern zwar das Gerüst.
15:29
Microsoft ist großzügig mit Toolkits, Transparenzhinweisen, Dashboards und Compliance-Vorlagen.
15:34
OpenAI bietet Dokumentation zur Nutzung, Risiken und Transparenzverpflichtungen.
15:37
Aber ein Gerüst ist noch kein Gebäude.
15:39
Sie sind dafür verantwortlich, die eigentliche Governance-Struktur zu errichten.
15:42
Wenn Regulierungsbehörden kommen, ist Microsoft hatte ein Dashboard irrelevant, wenn Ihr Haus nur aus einem Haufen Gerüststangen am Boden besteht.
15:49
Denken Sie an die Logik der Durchsetzung.
15:51
Regulierungsbehörden fragen nicht, ob Microsoft Purview existiert.
15:54
Sie fragen, ob sie die Kontrollen implementiert haben.
15:56
Sie akzeptieren nicht, dass Co-Pilot Protokollierungsoptionen haben.
15:58
Sie werden Ihre Protokolle verlangen.
15:59
Wenn Ihr Team diese nicht vorlegen kann, schreiben Sie sich die Strafe und Schlagzeilen von selbst.
16:03
Das ist der Teil, den Führungskraft unterschätzen.
16:05
Compliance bedeutet nicht, Tools zu besitzen.
16:06
Es geht um den Nachweis, dass diese Tools korrekt konfiguriert in Ihre Umgebung liefen und nachvollziehbare Ergebnisse lieferten.
16:12
Die Konsequenzen sind nicht abstrakt.
16:14
Scheitern Sie, riskieren Sie zweistellige Millionenstrafen, öffentliche Blamage in internationalen Schlagzeilen
16:19
und ein Vertrauensverlust bei Kunden, die sich fragen, warum Ihre Personalabteilung wie ein Hacker-Forum arbeitet.
16:24
Das ist kein Melodrama.
16:25
Das ist das Umfeld, in dem Sie sich jetzt bewegen.
16:27
Compliance ist Überleben, keine Dekoration.
16:30
Und hier ist der schmerzhafte Vergleich.
16:31
Co-Pilot-Käufer erben ein Gerüst, das bereits in Microsoft 365 integriert ist.
16:36
Bereitstellungsframeworks, Richtlinien, Aktivitätshistorie, regionale Grenzen, Sie existieren und Sie konfigurieren.
16:40
Bei ChatGPT in der eigenständigen Form starten Sie bei einem Motorunerang.
16:43
Sie müssen jede Sicherheitsmaßnahme manuell zusammenbauen.
16:46
DLP, Audit-Logs, Richtlinien, Aufsicht, Offenlegungen.
16:50
Gerüstbau versus Neubau.
16:53
Das eine beginnt auf halbem Weg, das andere auf offenem Feld mit einem unhandlichen Haufen Einzelteile.
16:57
Aber verstehen Sie Compliance nicht als Brenzpedal.
17:00
Regeln verbieten keine Einführung, sie bestimmen, wie diese strukturiert ist.
17:03
Und diese strukturelle Klarheit verändert das Spielfeld.
17:06
Die Frage ist heute nicht, ob man das Risiko eingeht, KI zu nutzen,
17:08
sondern wie gut man sie absichern kann, damit Regulierungsbehörden ein stabiles System statt eines Haftungsrisikos sehen.
17:13
Denn was die meisten übersehen, ist, dass Governance und Innovation hier keine Gegensätze sind.
17:18
Sie bilden die Rahmenbedingungen, die darüber entscheiden, ob KI ein Unternehmen tatsächlich skalieren kann.
17:23
Das verschiebt die eigentliche Debatte.
17:24
Es geht nicht darum, ob KI die Regulierung überlebt, sondern darum, die Regulierung Abkürzungen beseitigt,
17:28
damit KI reifen kann, ohne durch ständige Katastrophen ausgebremst zu werden.
17:32
Das Gesetz ist kein Innovationskinder.
17:33
Sie glauben, der EU-AI-Act erstickt Innovationen?
17:36
Falsch.
17:37
Sein Zweck ist es nicht, Entwicklern Handschellen anzulegen oder Unternehmen unter Papierkram zu begraben.
17:41
Er soll Unsicherheit durch einen stabilen Rahmen ersetzen.
17:43
Regeln töten keine Technologie.
17:45
Sie machen sie in großem Maßstab nutzbar.
17:46
Die Annahme, dass Regulierungsstagnation bedeutet, ist genauso fehlerhaft wie zu glauben,
17:49
Geschwindigkeitsbegrenzungen hätten das Automobil getötet.
17:51
Indem das Gesetz Sicherheit, Transparenz und Verantwortlichkeit erzwingt, tut es etwas, das Unternehmen tatsächlich schätzen.
17:57
Es senkt die unterschwellige Angst, die Projekte an der Skalierung hindert.
18:01
Wenn Führungskräfte genau wissen, was erforderlich ist, hören sie auf, heimliche Experimente im Verborgenen zu machen
18:05
und beginnen mit dem systemweiten Einsatz.
18:06
Microsoft vertritt diesen Standpunkt öffentlich.
18:09
Das Unternehmen positioniert das Gesetz als Motor für eine vertrauenswürdige Einführung.
18:12
Deshalb existieren das Trust Center, der Standard für verantwortungsvolle KI und die umfangreiche Dokumentation.
18:16
Es sind keine bloßen Gesten des guten Willen.
18:19
Es sind Werkzeuge, die KI von einer Neuheit seiner Infrastruktur machen sollen.
18:22
Natürlich sehen die meisten Organisationen nur die Keule, Geldstrafen, Kontrollbesuche und bürokratische Albträume.
18:28
Und ja, diese Seite ist klar im Gesetzestext verankert, aber die Kehrseite zu ignorieren verkennt den Kern der Sache.
18:33
Klare Verpflichtungen erzeugen kein Zögern.
18:34
Sie beseitigen es.
18:35
Vergleichen Sie das Chaos vor dem Gesetz, in dem Projekte im luftleeren Raum schwebten,
18:39
weil niemand wusste, ob ein Lebenslaufscanner legal war mit den heutigen definierten Checklisten.
18:43
Wir geben Ihnen Referenzpunkt.
18:44
Sie erlauben es, Ihnen voranzukommen, ohne das Risiko einzugehen,
18:46
sechs Monate nach der Einführung als regelwidrig eingestuft zu werden.
18:48
Denken Sie noch einmal entschlossen.
18:50
Niemand behauptet, dass Verkehrsregeln den Transport beendet haben.
18:52
Sie haben das Fahren durch dicht besiedelte Städte erstisch gemacht.
18:55
KI folgt derselben Logik.
18:56
Ohne Struktur bricht die Akzeptanz an Misstrauen zusammen.
18:59
Mit Leitplanken beschleunigt sich die Einführung, wenn Nutzer und Regulierungsbehörden die Grenzen kennen.
19:03
Das Gesetz ist kein Mysterium.
19:05
Es ist ein Sicherheitsgurt.
19:06
Unternehmen geben das Auto nicht auf, nur weil es Sicherheitsgurte gibt.
19:09
Sie beschleunigen, weil die Passagiere sich endlich sicher fühlen, einzusteigen.
19:13
Wenn Sie einen Beweis dafür wollen, dass regulierte Bedingungen neue Anwendungsfälle zulassen,
19:17
schauen Sie sich Microsofts eigene Anwälte an.
19:20
Intern haben Sie Co-Pilot genutzt, um Mitarbeitern bei der Auslegung der Bestimmung des AI-Acts im Arbeitsalltag zu helfen.
19:25
Das ist kein Marketing, das ist eine Rechtsabteilung, die ganz leise generative KI für Compliance-Fragen nutzt,
19:29
ein Anwendungsfall, den Sie in der regulatorischen Unsicherheit der Vergangenheit nicht angefasst hätten.
19:34
Innovation ist nicht verschwunden, sie hat sich auf Projekte verlagert, die gerade wegen der Leitplanken florieren.
19:40
Davon abgesehen, sollten wir regulierend nicht romantisieren.
19:42
Es gibt Lücken.
19:43
Bestimmte fortschrittliche Modelle kommen aufgrund von Compliance, Kosten und Rechtsunsicherheit langsamer nach Europa.
19:47
Anbieter zögern manchmal, Dienste hier zu starten, weil Audit-Dokumentationen und Haftungsregelungen einen Mehraufwand bedeuten.
19:53
Das Ergebnis ist ein ungleicher Zugang.
19:55
Manche Regionen erhalten neue Tools zuerst, während europäische Kunden auf konforme Versionen warten.
19:58
Das ist der Preis für das Rahmenwerk.
20:00
Es ist nicht unerheblich, aber der Kompromiss für langfristige Stabilität und öffentliches Vertrauen.
20:05
Vergleichen wir nun Co-Pilot und ChatGPT durch diese Brille.
20:07
Co-Pilot operiert innerhalb von Microsoft 365 unter Compliance-Standards auf Unternehmensebene und festen Datengrenzen.
20:13
Regeln sind direkt im Tool abgebildet.
20:14
ChatGPT ist in seiner eigenständigen, öffentlichen Form ein reines Modell.
20:18
Nutzen Sie es für einen Blogbeitrag, bewegt es sich sicher im Bereich geringe Risiken.
20:21
Nutzen Sie es für die Personalauswahl. Landen die Lasten sofort auf Ihrem Schreibtisch.
20:24
Keines der Systeme wird durch die Regulierung vernichtet.
20:28
Der Unterschied ist, ob Ihnen die Leihplanken bei der Installation übergeben werden oder ob Sie diese selbst zusammenschweißen müssen.
20:33
Der Nutzen ist struktureller Natur.
20:35
Der AI-Act hebt die Mindeststandards für die Einführung an.
20:37
Unternehmen basteln nicht im Verborgenen.
20:39
Sie skalieren selbstbewusst, weil sie auf kodifizierte Verpflichtungen verweisen können.
20:42
Anbieter wie Microsoft bauen Governance in Purview ein und ergänzten Klassifizierung, Herkunftsnachweise und Audit-Trace dort, wo die Regulierung Rückverfolgbarkeit verlangt.
20:49
OpenAI nutzt bei Zugriff über verwaltete Plattformen wie Azure OpenAI dieselben Strukturen.
20:56
Akzeptanz entsteht, wenn Rückverfolgbarkeit und Aufsicht keine Marketing-Slogans sind, sondern durchsetzbare Funktionen.
21:01
Richtig betrachtet ist der Act kein Käfig, sondern ein Gerüst?
21:03
Gerüste schränken den Bau nicht ein.
21:05
Sie sind die Ausrüstung, die Arbeiter vor dem Absturz schützt, während das Gebäude in die Höhe wächst.
21:09
Das ist wahre Geheimnis hier.
21:09
Unter dem EUAIA Act arbeiten Innovation und Regulierung nicht gegeneinander.
21:14
Die bewegen sich im Tandem.
21:16
Die einzige Entscheidung ist, ob ihre Organisation mit der vorhandenen Unterstützung klettern will oder darauf beharrt, am Boden zu improvisieren.
21:23
Diese Wahl ist wichtig, denn nicht alle Tools nutzen das Gerüst auf die gleiche Weise.
21:27
Einige wie Co-Pilot sind von vornherein darauf ausgerichtet.
21:30
Andere wie ChatGPT erfordern, dass sie ihr eigenes Gestell bauen, bevor sie überhaupt mit dem Klettern beginnen.
21:34
Dieser praktische Unterschied, vorgegebene Leitplanken gegenüber selbstmontiertem Schutztrend, reibungslose Einführung von leichtsinnigem Risiko.
21:42
Hier ist der Teil, auf den Sie gewartet haben.
21:44
Das Fazit.
21:45
Co-Pilot ist compliant by design näher, da es in Microsoft 365 mit bereits vorhandener Governance- und Auditstruktur integriert ist.
21:53
Verwechseln Sie das jedoch nicht mit einer Universallösung.
21:55
Sie müssen weiterhin konfigurieren, dokumentieren und überwachen.
21:57
Es senkt Ihr rechtliches Risiko, ja, aber es eliminiert es nicht.
22:00
Also was nun?
22:01
Drei Schritte.
22:02
Erstens, klassifizieren Sie Ihren KI-Anwendungsfall anhand der Risikoleiter des EU-KI-Gesetzes.
22:06
Zweitens, setzen Sie Tools wie Microsoft Purview, Co-Pilot-Aktivitätsverlauf und das Responsible AI-Dashboard zur Dokumentation und Kontrolle ein.
22:14
Drittens, führen Sie DPIAs durch, pflegen Sie ein Ropier und schulen Sie das Personal gemäß den Anforderungen von Artikel 4.
22:18
Wenn Sie sich diese Punkte merken möchten, ohne die gesamte Vorlesung erneut anzusehen, abonnieren Sie jetzt.
22:22
Regelmäßige Compliance-Briefings plattformspezifisch finden Sie hier keine Ausreden.